visma-prodsec/columboML支援フォレンジック分析ツール。Volatility 3、autorunsc、sigcheckを使用してWindows上のメモリ、ディスク、ライブシステムのトリアージを自動化し、敵対的活動や侵害されたアーティファクトを検出します。
Columbo は、侵害されたデータセット内の特定パターンを簡略化・識別するためのコンピュータフォレンジック解析ツールです。データを小さなセクションに分割し、パターン認識と機械学習モデルを使用して、侵害されたWindowsプラットフォームにおける攻撃者の行動とその可能性のある位置を、提案形式で特定します。現在、Columbo は Windows プラットフォーム上で動作します。
Columbo はデータ抽出に volatility 3、autorunsc.exe、sigcheck.exe に依存しています。そのため、ユーザーはこれらの依存ツールをダウンロードし、\Columbo\bin フォルダに配置する必要があります。何かをダウンロードする前に、必ずライセンスセクション（または License.txt ファイル）を読んで理解してください。 これらのツールによって生成された出力（データ）は、自動的に Columbo のメインエンジンにパイプされます。エンジンはデータを小さなセクションに分割し、前処理を行い、機械学習モデルを適用して侵害されたシステム、実行ファイル、その他の行動の位置を分類します。
動画
インストールと設定
実行可能バイナリ
注意: エラーを避けるため、ディレクトリ構造は \Columbo\bin\volatility3-master、\Columbo\bin\autorunsc.exe、\Columbo\bin\sigcheck.exe のようになっている必要があります。
最後に、\Columbo フォルダ内の "main.exe" をダブルクリックします。
ソースコード
注意: エラーを避けるため、ディレクトリ構造は \Columbo\bin\volatility3-master、\Columbo\bin\autorunsc.exe、\Columbo\bin\sigcheck.exe のようになっている必要があります。
最後に cmd を開き、python.exe \Columbo\main.py を実行します。
Columbo はデータ前処理を使用してデータを整理し、機械学習モデルを使用して不審な行動を特定します。出力は 1（不審）または 0（正当）で、デジタルフォレンジック検査担当者の意思決定を支援するための純粋な提案です。精度を最大化するために様々な例でモデルを訓練し、偽陽性を最小化するために様々なアプローチを使用しました。ただし、偽陽性（誤検出）は依然として発生するため、定期的にモデルを更新することに取り組んでいます。
特に機械学習を扱う場合、偽陽性（誤検出）を減らすのは容易ではありません。機械学習モデルが生成する出力は、モデルの訓練に使用されたデータの品質によって偽陽性となる可能性があります。しかし、フォレンジック検査担当者の調査を支援するために、Columbo は各 1（不審）と 0（正当）に対してパーセンテージスコアを生成します。このアプローチにより、検査担当者は Columbo が不審と分類したパス、コマンド、プロセスを選択することができます。
オプション 2
ライブ解析 - ファイルとプロセスのトレーサビリティ。 このオプションは、実行中のWindowsプロセスを解析し、実行中の悪意のあるアクティビティを特定します。Columbo は autorunsc.exe を使用してマシンからデータを抽出し、出力は機械学習モデルとパターン認識エンジンにパイプされて不審なアクティビティを分類します。その後、出力はさらなる解析のために \Columbo\ML\Step-2-results に Excel ファイル形式で保存されます。さらに、実行中のプロセスを調査するオプションがユーザーに提供されます。結果には、プロセスのトレーサビリティ、各プロセスに関連するコマンド（該当する場合）、およびそのプロセスが新しいプロセスを実行する責任があるかどうかなどの情報が含まれます。
オプション 3
ハードディスクイメージファイル (.vhdx) のスキャンと解析: このオプションは、マウントされた Windows ハードディスクイメージのパスを取得します。sigcheck.exe を使用してファイルシステムからデータを抽出します。その後、結果は機械学習モデルにパイプされて不審なアクティビティを分類します。さらに、出力は \Columbo\ML\Step-3-results に Excel ファイル形式で保存されます。
オプション 4
自動または手動のメモリイメージ解析
手動メモリイメージ解析
メモリフォレンジック。 このオプションでは、Columbo がメモリイメージのパスを受け取り、以下のオプションをユーザーが選択できるようにします。
メモリ情報: Volatility 3 を使用してイメージに関する情報を抽出します。
プロセススキャン: Volatility 3 を使用して、各プロセスのプロセス、DLL、ハンドル情報を抽出します。次に、Columbo はグループ化・クラスタリングメカニズムを使用して、各プロセスをその親プロセスごとにグループ化します。このオプションは、後で異常検出オプションの下にあるプロセストレーサビリティで使用されます。
プロセスツリー: Volatility 3 を使用してプロセスのプロセスツリーを抽出します。
異常検出とプロセストレーサビリティ: Volatility 3 を使用して異常検出プロセスのリストを抽出します。ただし、Columbo はプロセストレーサビリティと呼ばれるオプションを提供し、各プロセスを個別に調査し、以下の情報をまとめて生成します。
自動メモリイメージ解析
上記すべてを自動化された方法で実行します。
MIT ライセンス
Columbo
Copyright 2020 Visma
以下に定める条件に従い、本ソフトウェアおよび関連文書ファイル（以下「ソフトウェア」）の複製を取得するすべての人に対し、ソフトウェアを無制限に扱うことを許可します。これには、ソフトウェアの複製、変更、結合、公開、頒布、サブライセンス、および/または販売の権利、およびソフトウェアを提供された者にこれを許可する権利が含まれますが、これに限定されません。
上記の著作権表示および本許諾表示を、ソフトウェアのすべての複製または重要な部分に掲載するものとします。
ソフトウェアは「現状のまま」で提供され、明示的であるか黙示的であるかを問わず、いかなる種類の保証も伴いません。これには、商品性、特定目的への適合性、および非侵害の黙示の保証が含まれますが、これに限定されません。いかなる場合においても、作者または著作権所有者は、契約行為、不法行為、またはその他の行為にかかわらず、ソフトウェアまたはソフトウェアの使用またはその他の取り扱いから生じる、またはそれに関連するいかなる請求、損害、またはその他の責任も負わないものとします。
サードパーティ製ツール
